Gestire centralmente più aree di lavoro Microsoft Sentinel con Gestione aree di lavoro (anteprima)

Informazioni su come gestire centralmente più aree di lavoro Microsoft Sentinel all'interno di uno o più tenant Azure con gestione aree di lavoro. Questo articolo guida l'utente attraverso il provisioning e l'utilizzo di workspace manager. Che si tratti di un'azienda globale o di un provider di servizi di sicurezza gestiti (MSSP), gestione aree di lavoro consente di operare su larga scala in modo efficiente.

Di seguito sono riportati i tipi di contenuto attivi supportati con Gestione aree di lavoro:

• Regole di analisi
• Regole di automazione (escluse le Playbooks)
• Parser, ricerche e funzioni salvate
• Ricerca delle query
• Cartelle di lavoro

Se si effettua l'onboarding di Microsoft Sentinel al portale di Microsoft Defender, consulta gestione multi-tenant di Microsoft Defender.

Prerequisiti

• Sono necessarie almeno due aree di lavoro Microsoft Sentinel. Un’area di lavoro da cui gestire e almeno un’altra area di lavoro da gestire.
• L'assegnazione del ruolo Collaboratore Microsoft Sentinel è necessaria nell'area di lavoro centrale (in cui è abilitato il gestore dell'area di lavoro) e nelle aree di lavoro membro che il collaboratore deve gestire. Per altre informazioni sui ruoli in Microsoft Sentinel, vedere Ruoli e autorizzazioni in Microsoft Sentinel.
• Abilitare Azure Lighthouse se si gestiscono aree di lavoro in più tenant Microsoft Entra. Per altre informazioni, vedere Gestire Microsoft Sentinel aree di lavoro su larga scala.

Considerazioni sul gestore dell'area di lavoro

Configurare un'area di lavoro centrale in modo che sia l'ambiente in cui consolidare elementi di contenuto e configurazioni da pubblicare su larga scala in aree di lavoro membro. Creare una nuova area di lavoro Microsoft Sentinel o utilizzarne una esistente per fungere da area di lavoro centrale.

A seconda dello scenario, considerare queste architetture:

• Il collegamento diretto è la configurazione meno complessa. Controllare tutte le aree di lavoro membro con una sola area di lavoro centrale.
• La co-gestione supporta scenari in cui più aree di lavoro centrali devono gestire un'area di lavoro membro. Ad esempio, le aree di lavoro gestite simultaneamente da un team SOC interno e da un MSSP.
• N-Tier supporta scenari complessi in cui un'area di lavoro centrale controlla un'altra area di lavoro centrale. Ad esempio, un conglomerato che gestisce più filiali, in cui ogni filiale gestisce anche più aree di lavoro.

Abilitare Gestione aree di lavoro nell'area di lavoro centrale

Abilitare l'area di lavoro centrale dopo aver deciso quale area di lavoro di Microsoft Sentinel deve fungere da gestore dell'area di lavoro.

1. Passa alla scheda Impostazioni nell'area di lavoro padre e imposta su Attivato l'impostazione di configurazione del gestore dell'area di lavoro su "Rendi questa area di lavoro un'area di lavoro padre".

2. Una volta abilitato, in Configurazione viene visualizzato un nuovo menu Gestione aree di lavoro (anteprima).

   

Configurare le aree di lavoro dei membri

Le aree di lavoro dei membri sono l'insieme delle aree di lavoro gestite dal gestore delle aree di lavoro. Effettuare l'onboarding di alcune o tutte le aree di lavoro nel tenant e anche in più tenant, se Azure Lighthouse è abilitato.

1. Passare a Gestione aree di lavoro e selezionare "Aggiungi aree di lavoro"
2. Selezionare le aree di lavoro dei membri che si desidera aggiungere a Workspace Manager.
3. Una volta eseguito l'onboarding, il numero di membri aumenta e le aree di lavoro dei membri vengono riflesse nella scheda Aree di lavoro .

Creare un gruppo

I gruppi di gestione delle aree di lavoro consentono di organizzare le aree di lavoro in base a gruppi aziendali, verticali, aree geografiche e così via. Usare i gruppi per associare elementi di contenuto rilevanti per le aree di lavoro.

1. Per creare un gruppo:

   • Per aggiungere un'area di lavoro, selezionare Aggiungi>gruppo.
   • Per aggiungere più aree di lavoro, selezionare le aree di lavoro e Aggiungi>Raggruppa gli elementi selezionati.

2. Nella pagina Crea o aggiorna gruppo immettere un nome e una descrizione per il gruppo.

3. Nella scheda Seleziona aree di lavoro selezionare Aggiungi e selezionare le aree di lavoro membro che si desidera aggiungere al gruppo.

4. Nella scheda Seleziona contenuto sono disponibili 2 modi per aggiungere elementi di contenuto.

   • Metodo 1: selezionare il menu Aggiungi e scegliere Tutto il contenuto. Viene aggiunto tutto il contenuto attivo attualmente distribuito nell'area di lavoro centrale. Questo elenco è uno snapshot temporizzato che seleziona solo il contenuto attivo, non i modelli.
   • Metodo 2: selezionare il menu Aggiungi e scegliere Contenuto. Viene visualizzata una finestra Seleziona contenuto per selezionare il contenuto aggiunto.

5. Filtrare il contenuto in base alle esigenze prima di esaminare e creare.

6. Dopo la creazione, il numero di gruppi aumenta e i gruppi vengono riflessi nella scheda Gruppi.

Pubblicare la definizione del gruppo

A questo punto, gli elementi di contenuto selezionati non sono ancora stati pubblicati nelle aree di lavoro membro.

1. Selezionare il gruppo >Pubblica contenuto.

   

   Per pubblicare in blocco, selezionare più gruppi desiderati e selezionare Pubblica.

2. La colonna Stato ultima pubblicazione viene aggiornata in modo da riflettere In corso.

3. In caso di esito positivo, lo stato ultima pubblicazione viene aggiornato in modo da riflettere l'esito positivo. Gli elementi di contenuto selezionati sono ora presenti nelle aree di lavoro dei membri.

   Se non è possibile pubblicare un solo elemento di contenuto per l'intero gruppo, lo stato ultima pubblicazione viene aggiornato in modo da riflettere Non riuscito.

Risoluzione dei problemi

Ogni tentativo di pubblicazione include un collegamento che consente di risolvere eventuali problemi di pubblicazione degli elementi di contenuto.

1. Selezionare il collegamento ipertestuale Non riuscito per aprire la finestra dei dettagli dell'errore del processo. Viene visualizzato uno stato per ogni elemento di contenuto e per ogni coppia di aree di lavoro di destinazione.

2. Filtrare lo stato per le coppie di elementi non riuscite.

   

I motivi comuni dell'errore includono:

• Gli elementi di contenuto a cui viene fatto riferimento nella definizione del gruppo non esistono più al momento della pubblicazione (sono stati eliminati).
• Le autorizzazioni sono state modificate al momento della pubblicazione. Ad esempio, l'utente non è più un collaboratore Microsoft Sentinel o non dispone più di autorizzazioni sufficienti per l'area di lavoro membro.
• Un'area di lavoro membro è stata eliminata.

Limitazioni note

Tenere presenti le limitazioni seguenti quando si usa gestione aree di lavoro:

• Il numero massimo di operazioni pubblicate per gruppo è 2000. Operazioni pubblicate = (aree di lavoro membro) * (elementi di contenuto).
  Ad esempio, se si dispone di 10 aree di lavoro membro in un gruppo e si pubblicano 20 elementi di contenuto in tale gruppo,
  operazioni pubblicate = 10 * 20 = 200.
• I Playbook attribuiti o associati alle regole di analisi e automazione non sono attualmente supportati.
• Le cartelle di lavoro archiviate in bring-your-own-storage non sono attualmente supportate.
• Il gestore dell'area di lavoro gestisce solo gli elementi di contenuto pubblicati dall'area di lavoro centrale. Non gestisce il contenuto creato localmente dalle aree di lavoro dei membri.
• Attualmente, l'eliminazione centralizzata di contenuto che risiede nelle aree di lavoro dei membri tramite gestione dell'area di lavoro non è supportata.

Informazioni di riferimento sulle API

• Processi di assegnazione di Workspace Manager
• Assegnazioni del gestore delle aree di lavoro
• Configurazioni di Gestione aree di lavoro
• Gruppi di Gestione aree di lavoro
• Membri di Workspace Manager

Passaggi successivi

• Gestire più tenant in Microsoft Sentinel come provider di servizi condivisi
• Lavorare con gli incidenti di Microsoft Sentinel in più aree di lavoro contemporaneamente
• Proteggere la proprietà intellettuale degli MSSP in Microsoft Sentinel